Firebase 查询，收集组查询规则妨碍

Question

就在我以为我掌握了窍门的时候，查询规则给了我一个曲线球:(

我有这个查询规则：

// Needed for collection group (Member) query
// https://firebase.googleblog.com/2019/06/understanding-collection-group-queries.html
match /{rootPath=**}/Members/{member} {
    allow read: if request.auth != null;
}

这是非常基本的，只需要授权用户。集合组查询按预期完美运行。

现在，我想进行另一个查询以获取成员文档：

Firebase.firestore.collection("Companies\\$companyID\\Members").get().await()

查询返回错误 (PERMISSION_DENIED)。

我也尝试为这样的成员添加规则：

match /Companies/{companyID} {
    allow read: if request.auth != null &&
                isMember(database, companyID, request.auth.uid)
      
    match /Members/{member} {
        allow read: if request.auth != null 
    }
}

还是一样的错误。

这是文档路径：

我查看了一些资源，但没有看到任何可以提出解决方案的建议：

Understanding Collection Group Queries in Cloud Firestore

Recursive wildcards

Answer 1

我将其发布为答案，因为评论太长了。

您是否尝试过以下示例规则：

service cloud.firestore {
  match /databases/{database}/documents {
    match /Companies/{companyID}/Members/{member} {
      allow read, write: if <condition>;
    }
  }
}

如前面documentation you shared 中提到的基于分层数据的结构化规则？

Answer 2

我建议您查看以下documentation，您可以在其中找到一些示例：

service cloud.firestore {
  match /databases/{database}/documents {
    match /Companies/{companyID}/Members/{memberID} {
      // Only authenticated users can read
      allow read: if request.auth != null;
    }
  }
}

使用上述安全规则，任何经过身份验证的用户都可以检索任何单个公司的成员：

db.collection("Companies/{companyID}/Members").get()

---

现在，如果您希望将相同的安全规则应用于集合组查询，则必须使用 版本 2：

rules_version = '2';
service cloud.firestore {

  match /databases/{database}/documents {
    // Authenticated users can query the posts collection group
    // Applies to collection queries, collection group queries, and
    // single document retrievals
    match /{path=**}/Members/{memberID} {
      allow read: if request.auth != null;
    }
  }
}

任何经过身份验证的用户都可以检索任何单个公司的成员：

但是，如果您想向某个用户展示他们在所有公司中的成员，该怎么办？您可以使用集合组查询从所有成员集合中检索结果：

  var user = firebase.auth().currentUser;
    
  db.collectionGroup("members").where("author", "==", user.uid).get()

注意：此查询需要成员集合的 composite index。如果您尚未启用此索引，查询将返回一个错误链接，您可以按照该链接创建所需的索引。

Answer 3

您可以尝试使用“match /{path=**}/Members/{member}”代替 rootPath。我没有使用过后者，但前者在其他项目中为我工作过。